Izjava za zaposlene in vodstvo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.11.2012 Številka: 0712-1/2012/3458 Kategorije:Delovna razmerja, Elektronska pošta --> Kategorije: Delovna razmerja, Elektronska pošta Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaš dopis, v katerem nas prosite, da pregledamo in podamo morebitne pripombe na vaše Izjave za zaposlene in vodstvo (verzija 2.0). Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- tč.
- odst.
- čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem: Pooblaščenec uvodoma pojasnjuje, da so vaše Izjave za zaposlene in vodstvo (verzija 2.0) v enem delu sporne glede na določbe ZVOP-
- Opozarjamo, da delodajalec ne sme nesorazmerno posegati v zasebnost zaposlenega samo v interesu na primer zagotavljanja večje učinkovitosti, če pri tem ni jasno dokazljiv interes varovanja ljudi in premoženja, poslovne skrivnosti ipd. Pooblaščenec opozarja, da mora biti vsaka oblika nadzora, ki pomeni poseg v pravico do zasebnosti, bodisi vnaprej utemeljena v internih aktih in sorazmerna z zasledovanimi cilji bodisi imeti zakonsko podlago. Če vaše podjetje še nima pravilnika o zavarovanju zbirk osebnih podatkov (
- člen ZVOP-1), vam predlagamo, da ga čim prej pripravite in da naj bo ta pravilnik, ki mora doreči postopke nadzora in zavarovanja zbirk osebnih podatkov, kamor sodijo tudi varnostne kopije e pošte, priloga k tej predmetni izjavi. Delavcu mora biti postopek nadzora nad zbirkami osebnih podatkov vnaprej znan. Le tako boste lahko rekli, da bo z izjavo, ki ste nam jo poslali, zaposleni informirano privolil v interne postopke nadzora in zakonitih omejitev njegove komunikacijske zasebnosti. Opozarjamo vas na nekatere podrobnosti v okviru vaše Izjave o varovanju informacij (verzija 2.0), ki omogočajo povsem nesorazmerne posege v t.i. komunikacijsko zasebnost zaposlenih.
- Pooblaščenec vam predlaga, da v okviru
- točke predmetne izjave zaposlenega opozorite tudi, da se mora zavedati, da nezakonita obdelava osebnih podatkov predstavlja prekršek po
- členu ZVOP-
- Nadalje Pooblaščenec podaja pripombe na
- točko Izjave o varovanju informacij (verzija 2.0). Opozarjamo vas, da je glede na napisano generalno klavzulo zelo malo omejitev, ko delodajalec ne bi smel vpogledati v prometne podatke, ki so vezani na komunikacijo zaposlenega. Takšna generalna klavzula ne zdrži pravne presoje in ni v skladu z načelom sorazmernosti. Opozarjamo, da je za omejitev zasebnosti zaposlenega mogoče vpogledati v prometne podatke, zbirke osebnih podatkov in drugo dokumentarno gradivo zgolj v zelo redkih primerih, ko istega cilja, ni možno uresničiti z drugimi sredstvi. Glede kopiranja diskov in izdelav varnostnih kopij vas opozarjamo, da morate v izjavi (ali v pravilniku o zavarovanju zbirk osebnih podatkov) zelo jasno zapisati, kdaj se v te varnostne kopije lahko vpogleda (kdaj se torej lahko vpogleda v varnostne kopije in kdaj neposredno v računalnik zaposlenega). Praviloma se varnostne kopije uporabljajo zgolj takrat, ko pride na osebnih računalnikih do izgube podatkov (uničenje diska, napad računalniških virusov, ki izbrišejo datoteke …). Pooblaščenec pojasnjuje, da zaposleni lahko (celo mora) zakleniti službeni računalnik z geslom (politiko gesel določite s pravilnikom o zavarovanju zbirk osebnih podatkov), vendar ima delodajalec pravico vpogledati v podatke, ki jih zaposleni hrani na službenem računalniku zgolj z namenom varovanja službenih podatkov, ki se na njem nahajajo, in bi njihova nepredvidena izguba oziroma uničenje delodajalcu lahko povzročila škodo (torej zaradi zavarovanja poslovne dokumentacije v primeru nepričakovane odsotnosti zaposlenega, ne pa zaradi pregledovanja računalnika). Navedeno pa še vedno ne pomeni, da bi lahko v osebni računalnik, dodeljen konkretnemu zaposlenemu, ki ga je ta zaščitil z osebnim geslom, delodajalec lahko prosto vstopal in pregledoval dokumentacijo na njem. V praksi se praviloma od vseh zaposlenih zberejo gesla, ki jih ti sami vložijo v ovojnico in zapečatijo. Ovojnice z gesli se shranijo v ognjevarni omari, odprejo pa zgolj v izjemnih primerih. Pri tem Pooblaščenec opozarja na sledljivost obdelave osebnih podatkov (torej tudi odpiranja ovojnic) in skrajno previdnost pri postopanju. Pristop do podatkov preko aplikativne programske opreme se varuje s sistemom gesel za avtorizacijo in identifikacijo uporabnikov programov in podatkov. Sistem gesel mora omogočati tudi možnost naknadnega ugotavljanja, kdaj so bili posamezni osebni podatki vnešeni v zbirko podatkov, uporabljeni ali drugače obdelani ter kdo je to storil. Oseba, zadolžena za delovanje računalniškega informacijskega sistema, določi režim dodeljevanja, hranjenja in spreminjanja gesel. Vsa gesla in postopki, ki se uporabljajo za vstop in administriranje mreže osebnih računalnikov (supervizorska gesla), administriranje elektronske pošte in administriranje aplikativnih programov se hranijo v zapečatenih ovojnicah in se jih varuje pred dostopom nepooblaščenih oseb. Uporabi se jih samo v izrednih okoliščinah oziroma ob nujnih primerih. Vsaka uporaba vsebine zapečatenih ovojnic se dokumentira. Po vsaki takšni uporabi se določi nova vsebina gesel. Vse navedeno pa ne pomeni, da delodajalec ne more omejiti uporabe službenega elektronskega naslova zaposlenega, če bi se iz drugih razlogov (ne z vpogledom v zasebno pošto, pač pa denimo na podlagi visokega računa za posredovanje večje količine podatkov, odzivov tretjih oseb na vaša sporočila, počasno delovanje omrežja zaradi pošiljanja slikovnih ali zvočnih datotek, povečano število virusov …) izkazalo, da zaposleni elektronskega naslova ne uporablja v skladu z vsem navedenim in v skladu s politiko delodajalca glede uporabe službenih sredstev. Oprema in službeni elektronski naslov sta namreč last delodajalca, delavec pa ima kot imetnik zgolj pravico do uporabe; zato lahko delodajalec sicer omejuje dostop do službenega elektronskega naslova, a z ustreznimi varovalkami za zasebnost zaposlenega. Pooblaščenec na tem mestu še opozarja, da ima zaposleni na voljo številne tehnične možnosti, da vsaj na pomnilniških medijih, kot so trdi diski, jasno označi, loči ter zavaruje zasebne podatke od službenih. Vprašanje delodajalčevega posega v zasebnost zaposlenega pri dostopu delodajalca do službenega naslova elektronske pošte, je seveda bolj problematično, saj je včasih težko ločiti zasebna sporočila od službenih, dodatno težavo pa predstavljajo dohodna sporočila tretjih oseb, ki so lahko službene ali zasebne narave, zato je toliko bolj pomembno, da so vsi možni posegi delodajalca popolnoma transparentni in vnaprej opredeljeni v ustreznih internih aktih oziroma politikah. Pooblaščenec opozarja še na odločitev Evropskega sodišča za človekove pravice v primeru Copland proti Združenemu kraljestvu. V tem primeru je sodišče delavki priznalo širok krog pravice do zasebnosti in presodilo, da je delodajalec neupravičeno posegal v njeno zasebnost. Ključni element sodbe je, da delavka ni bila vnaprej opozorjena, kdaj in v kakšnih primerih lahko delodajalec nadzira e-pošto. (Več v članku Mitje Podpečana, Pravna praksa 19, z dne 17.05.2007, str. 31). Pomembno je tudi, da je sodišče ugotovilo, da je najprimernejše in pravno nevtralno omejevanje s tehničnimi sredstvi. Informacijski pooblaščenec se takšnemu stališču pridružuje, saj je pogosto opozarjal delodajalce, da lahko uporabo elektronske pošte in interneta omejujejo zgolj na način, da npr. blokirajo dostop do določenih spletnih strani, oz. omogočijo zaposlenim dostop zgolj do tistih spletnih strani, ki jih potrebujejo za svoje delo, blokirajo določeno e-pošto na strežniku za elektronsko pošto (recimo blokada, da se v poštni predal zaposlenega ne spusti več kot 300 KB velikih priponk …), ne pa na način, da ex tunc, torej za nazaj, ugotavljajo, katere spletne strani je delavec obiskoval, komu je pošiljal elektronsko pošto in kdo jo je poslal njemu. V skladu z vsem navedenim, delodajalec torej načeloma nima pravne podlage za vpogled v tako imenovane prometne podatke o elektronski pošti (torej, kdo vam je elektronsko pošto poslal, oziroma komu ste jo poslali vi - klasični primer sta t. i. Inbox in Outbox, torej nekakšen katalog elektronskih naslovov, ki se jih da urejati po različnih parametrih). Takšni podatki so torej osebni podatki, ki pa se pogosto mešajo z vsebino samega e-pisma (npr. posameznik v polju »Zadeva« že napiše naslov vsebine). Do kje sega osebni podatek in kje se začne vsebina, pa je potrebno presojati posebej od primera do primera (case by case). Prav tako Pooblaščenec opozarja na samo vsebino utemeljenih razlogov za vpogled v prometne podatke, zbirke osebnih podatkov in drugo dokumentarno gradivo. Namreč definicija ''visok račun'' za posredovanje podatkov ali telefoniranje je premalo specifično določena. Pooblaščenec svetuje, da natančno določite mesečni znesek, ki ga zaposleni pri uporabi telefonov ne smejo preseči. Pri tem pa opozarjamo, da mora delodajalec zaradi varstva zasebnosti, v primeru prekoračitve tega določenega zneska, zaposlenemu vedno dati možnost, da se odloči o tem, ali bo plačal prekoračeni znesek, ali pa bo dokazoval, da so bili klici v povečanem obsegu potrebni za opravljanje delovnih nalog (s pridobitvijo višje stopnje razčlenjenega računa). Glede same omejitve zasebnosti zaposlenega Pooblaščenec tudi svetuje, da so taksativno našteti primeri za omejitev opredeljeni v internem aktu. Opozarjamo vas še na navedbe v drugi alineji
- Točke izjave. Tam ste zapisali, da delodajalec lahko vpogleda v prometne podatke zaposlenega zaradi pregona kaznivih dejanj ali prekrškov. Te pravice delodajalec nima. Organi pregona lahko v prometne podatke in vsebino komunikacije vpolgedajo sami (tudi, če se delodajalec recimo ne bi strinjal), če imajo zato ustrezno zakonsko podlago, ki ureja njihove postopke. Takšna izjava zaposlenega ni ustrezna pravna podlaga za vpogled v podatke s strani organov pregona. Delodajalec lahko s takšno izjavo regulira zgolj odnos med njim in zaposlenim, seveda v skladu s smernicami in pravnimi podlagami, ki smo jih navedli zgoraj. Pooblaščenec vam še svetuje, da je v okviru
- točke Izjave o varovanju informacij (verzija 2.0) potrebno zaposlenega seznaniti z dolžnostjo delodajalca, da ob predaji delovnih sredstev, zaposlenemu zagotovi možnost, da ta zasebno korespondenco in druge zasebne zadeve odstrani z njegovih delovnih sredstev. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026